Proszę sobie wyobrazić: rano otwiera Pan/Pani pocztę, a tam pismo od europejskiego regulatora. Kara w wysokości 1 mln EUR. Powód: Google Analytics, które zainstalował Pan/Pani trzy lata temu i o którym zapomniał Pan/Pani. To nie fantazja. W październiku 2025 roku Sztokholmski Sąd Apelacyjny zatwierdził egzekucję kary od Tele2. Apelacja została odrzucona, kara uprawomocniła się.

Siedem europejskich krajów wydało decyzje przeciwko Google Analytics w formie, w jakiej konfiguruje go 90% właścicieli stron. Problem nie leży w narzędziu, lecz w tym, dokąd i w jaki sposób wyciekają dane europejskich użytkowników.

Google odpowiedział: GA4 z wymuszoną anonimizacją IP, Consent Mode v2, europejskie serwery przetwarzania. Komisja Europejska przyjęła Data Privacy Framework. Czy jednak w 2026 roku to wystarczy? I, co najważniejsze, co powinien zrobić właściciel strony już teraz, aby nie powtórzyć losu Tele2? Analizujemy fakty, opierając się na rzeczywistych decyzjach sądów i regulatorów.

💡 Szybki przegląd:

• Proszę dowiedzieć się, dlaczego decyzja Schrems II z 2020 roku obaliła Tarczę Prywatności i podważyła podstawę prawną Google Analytics w Europie
• Proszę spojrzeć na realne kary: Tele2 zapłaciło 1 mln EUR, CDON 27 700 EUR, a apelacja Tele2 upadła w październiku 2025
• Proszę przeanalizować mapę zakazów: siedem krajów UE z oficjalnymi decyzjami przeciwko konkretnym wdrożeniom GA
• Proszę ocenić odpowiedź Google: wymuszona anonimizacja IP, europejskie serwery, Consent Mode v2
• Proszę zrozumieć status Data Privacy Framework: obowiązuje, ale NOYB już przygotowuje Schrems III
• Proszę przejść przez ośmiopunktową listę kontrolną dostosowania GA4 do RODO
• Proszę porównać GA4 z alternatywami bezcookiesowymi: Plausible, Fathom, Umami i uczciwie rozważyć, co Pan/Pani traci

Schrems II: decyzja, która podważyła podstawę prawną Google Analytics

16 lipca 2020 roku Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie Schrems II (C-311/18). Trybunał uznał Tarczę Prywatności za nieważną. Mechanizm ten był jedyną podstawą prawną, która pozwalała amerykańskim firmom legalnie otrzymywać dane osobowe z UE.

Pierwotna przyczyna: FISA Section 702 i Executive Order 12333. Te dwa akty dają amerykańskim służbom specjalnym dostęp do danych przechowywanych u amerykańskich dostawców. Google, z siedzibą w Kalifornii, w pełni im podlega.

Po Schrems II firmom pozostała jedyna ścieżka legalnego transferu danych do USA: Standardowe Klauzule Umowne (SCC) plus „dodatkowe środki ochrony". Trybunał UE stwierdził jednak wprost: obietnice kontraktowe nie przeważają nad prawem dotyczącym bezpieczeństwa narodowego. Żadna umowa nie zobowiązuje amerykańskich służb specjalnych do ignorowania FISA. Ten prawny impas stał się fundamentem decyzji przeciwko Google Analytics.

Więcej szczegółów: Audyt RODO.

Pierwsze kary: Tele2, CDON i szwedzki precedens

W czerwcu 2023 roku Szwedzki Urząd Ochrony Prywatności (Integritetsskyddsmyndigheten, IMY) nałożył kary na dwóch dużych graczy:

• Tele2 (operator telekomunikacyjny): 1 mln EUR (12 mln koron szwedzkich) za korzystanie z Google Analytics bez wystarczających środków ochrony danych.
• CDON (sprzedawca internetowy): 27 700 EUR (300 000 koron) za te same naruszenia.

Obie firmy przekazywały dane do USA za pośrednictwem SCC. Regulator ustalił jednak: dodatkowe techniczne środki ochrony były niewystarczające. Umowa istniała, ale nie było realnej ochrony przed dostępem amerykańskich służb specjalnych.

Tele2 zaskarżyło karę. W październiku 2025 roku Sztokholmski Sąd Apelacyjny odrzucił apelację i utrzymał egzekucję w mocy. To kluczowy moment: sąd potwierdził, że korzystanie z Google Analytics bez odpowiednich dodatkowych środków nie jest technicznym niedociągnięciem, lecz pełnoprawnym naruszeniem RODO.

Równolegle IMY rozpatrywało sprawy Coop i Dagens Industri. Te firmy również korzystały z Google Analytics. Nie otrzymały kar. Różnica: przeprowadziły audyt techniczny, wdrożyły szyfrowanie na poziomie uznanym przez regulatora za adekwatny i udokumentowały każdy krok.

Wniosek ze szwedzkiego precedensu: Google Analytics sam w sobie nie jest zabroniony. Zabronione jest przekazywanie danych bez udowodnionych, działających środków ochrony. Różnica między karą 1 mln EUR a brakiem zastrzeżeń to zakres prac technicznych, a nie wybór narzędzia.

Mapa zakazów: które kraje UE wydały decyzje przeciwko GA

Od 2022 roku siedem europejskich krajów opublikowało oficjalne decyzje uznające korzystanie z Google Analytics za niezgodne z prawem w konkretnych, skontrolowanych wdrożeniach:

Każda decyzja dotyczyła konkretnego wdrożenia GA na konkretnej stronie. Nie jest to ogólnoeuropejski zakaz. Jednak skoordynowane stanowisko za pośrednictwem Europejskiej Rady Ochrony Danych (EROD) oznacza, że decyzja w jednym kraju służy jako precedens dla pozostałych.

Kampania NOYB (organizacja Maxa Schremsa) złożyła 101 skarg w 30 krajach UE i EOG już w sierpniu 2020 roku. Proces rozciągnął się na lata, ale nie został zatrzymany. Regulatory nadal wszczynają postępowania.

Co zmienił Google: GA4, europejskie serwery i Consent Mode v2

Po fali decyzji Google wprowadził trzy zmiany istotne z punktu widzenia RODO.

Domyślna anonimizacja IP. W Universal Analytics anonimizacja była opcją. Często zapominano ją włączyć i właśnie to pojawiało się w decyzjach Austrii i Francji. W GA4 anonimizacja jest wymuszona i nie można jej wyłączyć: adresy IP europejskich użytkowników są czyszczone, zanim dane trafią do przetwarzania.

Przetwarzanie na serwerach UE. Od 2023 roku ruch europejski można przetwarzać na serwerach Google w UE przed wysłaniem poza region. Spółka matka w USA nadal podlega amerykańskim przepisom o inwigilacji, ale pole do zastrzeżeń stało się wyraźnie mniejsze.

Consent Mode v2, obowiązkowy od marca 2024 roku. To warstwa JavaScript między banerem zgody a tagami Google. Gdy użytkownik odrzuca pliki cookie, Consent Mode v2 nie tylko blokuje instalację trackerów, ale wysyła zanonimizowane „cookieless pings". Bez Consent Mode v2 GA4 nie może legalnie działać z ruchem europejskim.

Ważny niuans: Consent Mode v2 ma dwa tryby. Basic blokuje tagi do czasu uzyskania wyraźnej zgody, co jest wariantem czystym prawnie. Advanced wysyła sygnały bezcookiesowe w każdym przypadku, nawet bez zgody. Google otrzymuje więcej danych do modelowania, ale prawnie jest to bardziej sporna ścieżka. Wybór trybu to jedna z pierwszych decyzji, które będzie musiał Pan/Pani podjąć podczas konfiguracji.

Data Privacy Framework: ratunek czy tymczasowa łata

10 lipca 2023 roku Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony dla EU-US Data Privacy Framework (DPF). Jest to następca Privacy Shield, unieważnionego wyrokiem w sprawie Schrems II. Google LLC uzyskała certyfikację w ramach DPF, co formalnie rozwiązuje główny problem prawny: przekazywanie danych do certyfikowanych firm w USA ponownie zyskało podstawę prawną.

Ale jest za wcześnie, by odetchnąć z ulgą. Trzy czynniki ryzyka.

Po pierwsze: DPF opiera się na rozporządzeniach wykonawczych prezydenta USA. Zmiana administracji może osłabić lub uchylić te rozporządzenia. Max Schrems publicznie oświadczył, że nie wyobraża sobie, jak „rozporządzenie narzucone USA przez Europejczyków, regulujące amerykańskie szpiegostwo za granicą, miałoby przetrwać logikę America First".

Po drugie: NOYB już zaskarża DPF w sądzie. Pierwszy atak sądowy na DPF został odparty, ale NOYB przygotowuje nową, szerszą sprawę, Schrems III. Prawnicy mówią, że to kwestia czasu, a nie prawdopodobieństwa.

Po trzecie: DPF rozwiązuje wyłącznie kwestię przekazywania transgranicznego. Wszystkie pozostałe wymogi RODO, zgoda, minimalizacja danych, ograniczenie celu, pozostają w mocy. Baner niespełniający wymogów art. 7 RODO czyni cały łańcuch niezgodnym z prawem, niezależnie od DPF.

Norweski Datatilsynet sformułował to stanowisko precyzyjnie: „To, co dotychczas było głównym problemem z Google Analytics, wydaje się rozwiązane. Nie wykluczamy jednak, że narzędzie może mieć inne problemy z prywatnością".

Czy GA4 jest legalny w Europie w 2026 roku

Krótka odpowiedź: jest legalny przy prawidłowej konfiguracji. Z zastrzeżeniami.

Jeśli mają Państwo GA4 z Consent Mode v2, ważny baner zgody (równoważne przyciski „Akceptuję" i „Odrzucam", bez wstępnie zaznaczonych pól), przetwarzanie na serwerach w UE, podpisane SCC i zminimalizowane zbieranie danych, są Państwo w bezpiecznej pozycji. Roszczenia są możliwe. Mają jednak Państwo udokumentowaną zgodność (documented compliance), a to właśnie na to patrzy regulator.

Problem w tym, że większość stron nie osiąga takiego stanu. Analiza 254 000 stron z 2025 roku wykazała: tylko 15% banerów cookie w Europie spełnia minimalne wymogi RODO. Inne badanie na 35 000 stron odnotowało naruszenia w 49% sprawdzonych witryn. Jeśli baner jest nieważny, wdrożenie GA4 automatycznie dziedziczy tę nieważność.

Osobny ból głowy: utrata danych. Te same badania odnotowują utratę 40-70% śledzonych danych przy wdrożeniu uczciwego banera z równoważnym przyciskiem „Odrzucam". Gdy nawet dwie trzecie europejskich odwiedzających odmawia zgody na pliki cookie, liczby w GA4 stają się modelowane, a nie mierzone. Regulatorzy już zadają pytanie: czy samo modelowanie nie stwarza nowych problemów z RODO.

Praktyczny wniosek: GA4 w Europie w 2026 roku to ryzyko zarządzane, a nie kwestia zamknięta.

Co zrobić już teraz: praktyczna lista kontrolna

Oto osiem punktów, na które patrzą europejscy regulatorzy podczas kontroli wdrożenia GA. Proszę przejść przez każdy z nich.

• Proszę przejść na GA4, jeśli wciąż są Państwo na Universal Analytics. Universal Analytics został wyłączony przez Google w lipcu 2024 roku. Dane nie są już zbierane, a ryzyka związane z RODO nigdzie nie zniknęły.

• Proszę wdrożyć Consent Mode v2. Bez niego GA4 nie może legalnie działać z ruchem europejskim. Integrację przeprowadza się przez platformę CMP: CookieYes, Cookiebot, Complianz lub iubenda. Proszę wybrać tryb Basic dla maksymalnej ochrony prawnej.

• Proszę sprawdzić baner zgody. Dwa równoważne przyciski: „Akceptuję wszystko" i „Odrzucam wszystko". Żadnych wstępnie zaznaczonych pól, żadnego „uzasadnionego interesu" jako podstawy zbierania. Proszę sprawdzić przez zakładkę Network w DevTools: po odrzuceniu plików cookie nie powinno być żadnych żądań do google-analytics.com.

• Proszę włączyć przetwarzanie na serwerach w UE. GA4, Admin, Data Settings, Data Collection, Regional Data Collection. Dwie minuty.

• Proszę ustawić okres przechowywania danych na 14 miesięcy. GA4, Admin, Data Settings, Data Retention. To minimalny okres, na jaki pozwala Google. RODO wymaga, by dane nie były przechowywane dłużej, niż jest to konieczne.

• Proszę wyłączyć przekazywanie danych do produktów Google. GA4, Admin, Data Settings, Data Sharing: proszę odznaczyć wszystkie pola. Domyślnie Google otrzymuje Państwa dane w celu ulepszania swoich usług. Dla zgodności z RODO musi to być wyłączone.

• Proszę podpisać Data Processing Agreement z Google. DPA jest dostępne w ustawieniach konta GA4. Proszę sprawdzić, czy polityka prywatności Państwa strony wyraźnie wspomina o korzystaniu z Google Analytics i celach przetwarzania.

• Proszę przeprowadzić audyt procesów zbierania i przechowywania danych. Dla firm o dużym natężeniu ruchu to nie opcja, lecz wymóg. Audytor zestawi rzeczywiste przepływy danych z udokumentowanymi procesami. Rozbieżność między tym, co deklaruje polityka, a tym, co faktycznie zbiera GA4, to prosta droga do kary.

Osobna ścieżka dla tych, którzy nie chcą w ogóle zarządzać tym ryzykiem: narzędzia cookieless. Plausible, Fathom, Umami i Swetrix z definicji nie zbierają danych osobowych. Nie ma plików cookie, nie ma wymogu banera zgody. Nie ma przekazywania danych do USA, nie ma problemu Schrems II. Ceną jest utrata lejków użytkownika, atrybucji Google Ads i zwykłej głębi segmentacji. Dla projektów treściowych, blogów i małych firm to często uczciwy kompromis.

⁉️🤔 Często zadawane pytania

Czy Google Analytics jest całkowicie zakazany w Europie?

Nie. Poszczególne kraje UE uznały za niezgodne z prawem konkretne wdrożenia GA na konkretnych stronach. Nie istnieje ogólnoeuropejski zakaz. GA4 z Consent Mode v2, europejskimi serwerami i ważnym banerem zgody znajduje się w 2026 roku w bezpiecznej pozycji.

Ważne jest zrozumienie skali: decyzje dotyczyły przypadków, w których dane były przekazywane do USA bez dodatkowych technicznych środków ochrony. Sam fakt korzystania z GA4 z pełnym stosem compliance nie został jak dotąd ani razu ukarany grzywną. Nie jest to jednak gwarancja: organy regulacyjne pracują z dwu-, trzyletnim opóźnieniem, a postępowania z lat 2023-2024 nie osiągnęły jeszcze etapu decyzji.

Czym GA4 różni się od Universal Analytics z perspektywy RODO?

W GA4 anonimizacja IP jest włączona obowiązkowo i nie można jej wyłączyć. Universal Analytics oferował ją opcjonalnie i właśnie to stało się podstawą pierwszych decyzji w Austrii i Francji. GA4 wykorzystuje model zdarzeniowy, a nie sesyjny, co zmniejsza wolumen zbieranych danych osobowych. Do tego dochodzi obowiązkowy Consent Mode v2.

GA4 został zaprojektowany architektonicznie z myślą o rzeczywistości po wyroku Schrems. Adresy IP są czyszczone przed przetwarzaniem, Consent Mode v2 stał się obowiązkowy od marca 2024 roku, a przetwarzanie danych na serwerach w UE zawęża pole do roszczeń. Jednak zgodność z przepisami zależy od Państwa konfiguracji: sam GA4 nie czyni strony zgodnej z RODO.

Ile realnie kosztuje kara za naruszenie RODO przez Google Analytics?

Górny pułap zgodnie z GDPR Article 83: do 20 mln EUR lub 4% globalnego rocznego obrotu. Odnotowane kary za GA: Tele2, 1 mln EUR, CDON, 27 700 EUR. Kwota zależy od skali naruszeń, wolumenu przetwarzanych danych i środków ochrony wykazanych przed organem regulacyjnym.

Szwedzki precedens pokazał: różnica między brakiem roszczeń a karą w wysokości 1 mln EUR to zakres prac technicznych i dokumentacji, a nie wybór narzędzia. Coop i Dagens Industri korzystały z tego samego Google Analytics, ale z odpowiednimi dodatkowymi środkami i nie zostały ukarane.

Czy Consent Mode v2 jest potrzebny, jeśli nie korzystam z Google Ads?

Tak. Consent Mode v2 jest obowiązkowy dla wszystkich stron z ruchem europejskim, które korzystają z GA4. Korzystanie z Google Ads nie ma tu znaczenia. Od marca 2024 roku bez Consent Mode v2 GA4 nie może zgodnie z prawem zbierać danych o europejskich użytkownikach.

Consent Mode v2 zarządza sygnałami analytics_storage i ad_storage. Bez prawidłowo skonfigurowanej zgody GA4 albo w ogóle nie zbiera danych, albo zbiera je z naruszeniem RODO. Z perspektywy regulatora nie ma różnicy między „zwykłą analityką" a „analityką dla reklamy": przetwarzanie danych osobowych wymaga zgody w obu przypadkach.

Co się stanie, jeśli Data Privacy Framework zostanie unieważniony?

Sytuacja wróci do stanu po wyroku Schrems II: firmy przekazujące dane do USA muszą opierać się na SCC plus dodatkowe środki ochrony. Różnica polega na tym, że GA4 z Consent Mode v2 i europejskimi serwerami jest lepiej przygotowany na taki scenariusz niż Universal Analytics w 2020 roku.

Unieważnienie DPF nie będzie natychmiastowe: procedury sądowe w UE trwają latami, a biznes otrzyma okres przejściowy. Praktyczna rada: proszę testować bezciasteczkowy odpowiednik równolegle z GA4 przez miesiąc. Jeśli DPF upadnie, przełączy się Pan/Pani w jeden dzień, a nie w miesiąc awaryjnej migracji.

Czy można używać GA4 na stronie w Ukrainie i innych krajach spoza UE?

Technicznie tak. Prawnie: RODO ma zastosowanie do przetwarzania danych rezydentów UE niezależnie od geograficznej lokalizacji strony. Jeśli Pana/Pani stronę odwiedzają użytkownicy z Niemiec, Francji czy Polski, przetwarza Pan/Pani ich dane osobowe i musi Pan/Pani przestrzegać RODO. Geolokalizacja serwera nie ma znaczenia.

RODO ma konstrukcję eksterytorialną. Ukraińska strona z europejską publicznością znajduje się dokładnie w takiej samej sytuacji prawnej jak niemiecka. Praktyczna różnica dotyczy jedynie prawdopodobieństwa egzekucji: szwedzki IMY nie pójdzie bezpośrednio karać ukraińskiej firmy, ale europejscy użytkownicy mogą złożyć skargę za pośrednictwem NOYB, a lokalny organ regulacyjny włączy się w ramach koordynacji EDPB.

Co w praktyce: ważymy ryzyko i działania

GA4 w 2026 roku nie jest ani „zakazany", ani „całkowicie bezpieczny". To narzędzie, które wymaga świadomej konfiguracji. Siedem krajów UE wydało decyzje przeciwko niemu, kara w wysokości 1 mln EUR została już nałożona i potwierdzona przez sąd apelacyjny, NOYB nadal wywiera presję na organy regulacyjne. Jednocześnie Google zbudował stos compliance, który nie istniał w 2020 roku: obowiązkowa anonimizacja IP, Consent Mode v2, europejskie serwery, certyfikacja DPF.

Dla właściciela strony wybór sprowadza się do dwóch opcji. Jeśli potrzebuje Pan/Pani pełnej głębi GA4 (lejki, atrybucja, remarketing, integracja z Google Ads), proszę przejść przez ośmiopunktową listę kontrolną powyżej, skonfigurować każdą pozycję i spać spokojnie z udokumentowanym compliance. Jeśli głębia nie jest krytyczna, a ważniejsza jest pewność prawna, proszę przejść na narzędzie bezciasteczkowe i całkowicie zamknąć kwestię RODO.

Trzecia opcja, „zainstalować GA4 jak jest i liczyć, że się uda", w 2026 roku już nie istnieje. Organy regulacyjne w Europie udowodniły, że nakładają za to kary. Realnymi pieniędzmi, a nie ostrzeżeniami. Decyzja należy do Pana/Pani, ale powinna być podjęta w sposób świadomy.